Все уже слышали про ldapnightmare 😈 в очередной раз хайповый POC, выложенный на GitHub оказался стиллером)

По TTP ничего интересного нет:
🔤 после запуска бинаря, в Temp создается ps1-скрипт
🔤 закреп через задачу
🔤для исполнения команд используется Powershell
🔤 для загрузки очередного этапа использовался Pastebin
🔤 эксфильтрация через ftp (в большинстве случаев отработает, тк стиллер рассчитан на безопасников и админов)

IOC:

ef4ba8eef919251f7502c7e66926bb3a5422065b poc.exe (UPX-packed)

d4a35487b95cc2b44395047717358bb2863a5311 Dropped PowerShell script

ftp[:]//ftp[.]drivehq[.]com/wwwhome/ FTP server

ftp[:]//ftpupload[.]net/htdocs FTP server

hxxps[:]//pastebin[.]com/raw/9TxS7Ldc Pastebin

#ttp@detectioneasy